使用Google OAuth服务器时，OAuth2.0是否对每个请求做身份认证？

首先明确：OAuth 2.0 不是仅用于初始登录，后续每个请求都会经过认证，但认证的实现方式取决于你使用的框架/库，不一定每次都要和Google认证服务器交互。

下面拆解你遇到的现象：

• 为什么资源服务器没每次调用Google？
  Google OAuth默认返回的访问令牌是JWT格式，这种令牌本身包含用户主体信息、过期时间，并且带有Google的数字签名。大部分主流认证框架（比如Spring Security、Passport.js）会自动完成以下操作：

  1. 初始登录时，拿到Google返回的JWT令牌，用Google公开的公钥本地校验签名有效性，同时检查令牌是否过期。
  2. 校验通过后，解析出令牌里的用户主体信息（比如用户ID、邮箱），并把这些信息存入你的应用会话（比如HTTP Session）或者生成自己的会话凭证。
  3. 后续请求过来时，框架直接从会话中读取已存储的用户主体信息完成认证，不需要再去调用Google的接口，也不需要重新解析原始的JWT令牌。

• 每个请求都被认证了吗？
  是的，但分两种场景：

  • 若你的应用是无状态架构：每次请求都需要在请求头（比如Authorization: Bearer <token>）携带Google的访问令牌，框架会每次解析并校验令牌（本地验签+检查过期），确认用户身份，全程不依赖会话存储。
  • 若你的应用是有状态架构：初始登录后，框架会给客户端下发会话ID（通常存在Cookie里），后续请求携带这个会话ID，框架通过会话ID找到存储的用户主体信息完成认证，这时候确实不需要再和Google交互，也不需要再处理原始的访问令牌。

• 关于访问令牌的存储
  你没手动存储令牌是正常的：对于JWT令牌来说，核心信息已经解析到用户主体里，框架不需要长期存储原始令牌；如果你的应用配置了刷新令牌，框架可能会自动存储刷新令牌（用于访问令牌过期后静默续期），但访问令牌本身因为有较短的过期时间，一般不会持久化存储。

内容的提问来源于stack exchange，提问作者Kai Larson